Krytyczne luki w PHP. Co to oznacza dla internautów?

W internecie pojawiło się ważne ostrzeżenie dotyczące bezpieczeństwa stron. Chodzi o PHP — oprogramowanie, które pomaga serwerom obsługiwać serwisy internetowe. Wykryto w nim dwa poważne błędy. CERT-EU, zespół cyberbezpieczeństwa instytucji Unii Europejskiej, apeluje do administratorów o przygotowanie pilnych aktualizacji.

Co taka luka może oznaczać dla Ciebie?

Najprościej: przestępca może wykorzystać błąd w oprogramowaniu strony, zamiast próbować odgadnąć hasło jej użytkownika. CERT-EU ostrzega, że podatności mogą pozwolić uruchomić kod napastnika na zagrożonym serwerze. Skuteczny atak na serwis może narazić przechowywane w nim informacje lub pozwolić zmienić jego działanie.

To jednak opis możliwego zagrożenia, a nie wiadomość o wycieku Twoich danych. Samo korzystanie ze strony nie dowodzi, że padła ona ofiarą ataku. O skutkach dla konkretnego serwisu można mówić dopiero po sprawdzeniu jego sytuacji.

Czy trzeba coś instalować na telefonie?

Nie trzeba instalować PHP ani „łatki PHP” na telefonie tylko dlatego, że korzysta się ze stron internetowych. Aktualizację musi przeprowadzić administrator serwera, właściciel serwisu lub firma hostingowa. Zmiana przeglądarki nie usuwa błędu w oprogramowaniu zainstalowanym po stronie serwisu.

CERT-EU zaleca organizacjom ustalenie, które aplikacje korzystają z PHP, i przygotowanie do szybkiego zainstalowania poprawek. Gdy nie da się od razu zabezpieczyć zagrożonej aplikacji, zaleca rozważenie czasowego odłączenia jej od publicznego internetu. Dlatego przerwa w działaniu strony może być związana z pracami zabezpieczającymi — sama niedostępność nie potwierdza włamania. Źródło: ostrzeżenie CERT-EU.

Kiedy mają pojawić się poprawki?

Twórcy PHP zapowiedzieli wydanie poprawek na środę, 21 października 2026 roku, godz. 16:00 czasu polskiego i dopuścili wcześniejszą publikację. Oba błędy oceniono jako krytyczne. Szczegóły, lista podatnych wersji i numery poprawionych wydań mają zostać ogłoszone wraz z aktualizacją. Źródło: oficjalny komunikat PHP.

A co z serwisami rządowymi i numerami PESEL?

Przywołane ostrzeżenia nie potwierdzają wycieku z polskich serwisów rządowych ani rejestru PESEL. Nie dowodzą też, że konkretny urząd korzysta z podatnej wersji PHP. Nie ma zatem podstaw, by na podstawie samego alertu ogłaszać kradzież danych mieszkańców Iławy lub innych miejscowości.

Niezależnie od tego zagrożenia warto znać usługę zastrzegania PESEL. To profilaktyczna ochrona przed niektórymi wyłudzeniami, a nie zabezpieczenie strony przed atakiem. Nie zatrzymuje wycieku danych, ale może ograniczyć część jego konsekwencji.

Co możesz zrobić samodzielnie?

• Rozważ profilaktyczne zastrzeżenie PESEL. Ministerstwo Cyfryzacji zaleca korzystanie z tej ochrony. Usługa jest bezpłatna; można skorzystać z mObywatela, usługi wskazanej na gov.pl albo złożyć wniosek w dowolnym urzędzie gminy. Nie trzeba czekać na potwierdzony wyciek.
• Korzystaj z oficjalnych adresów. Otwórz samodzielnie aplikację mObywatel lub stronę gov.pl. Nie wpisuj danych w niezweryfikowanym formularzu przesłanym pod pretekstem pilnego „zabezpieczenia danych”.
• Włącz dodatkowe potwierdzanie logowania tam, gdzie jest dostępne, i używaj różnych haseł do różnych usług. To osobna ochrona konta, nie zastępstwo aktualizacji serwera. Proste zasady wyjaśnia CERT Polska w poradniku o bezpiecznym logowaniu.
• Sprawdzaj komunikaty usług, z których korzystasz. Jeśli operator potwierdzi incydent dotyczący Twojego konta, postępuj zgodnie z jego zweryfikowanymi zaleceniami. Sam ogólny alert o PHP nie potwierdza, że hasło do Twojego konta zostało wykradzione.

Zastrzeżenie PESEL oznacza, że instytucje finansowe mają obowiązek sprawdzać jego status przy zawieraniu m.in. umów kredytu lub pożyczki. Nadal można korzystać z opieki zdrowotnej, realizować recepty i wykonywać przelewy. Przed czynnością wymagającą cofnięcia zastrzeżenia sprawdź zasady w oficjalnej instrukcji gov.pl. Profilaktyczne zalecenie Ministerstwa opisano w informacji o usłudze „Zastrzeż PESEL”.